SSTP jawthentika l-server l-ewwel u l-utent wara

Klijent SSTP jista' jtemm TLS u xorta jirrifjuta l-utent sekonda wara. Din is-sekwenza mhijiex bug, hija l-munzell tal-protokoll: sigurtà tat-trasport l-ewwel, awtentikazzjoni tal-utent wara. Għax iż-żewġ fażijiet ifallu b'messaġġi differenti, jeħtieġu wkoll tiswijiet differenti. Li taqra liema fażi pproduċiet l-iżball hija l-biċċa l-kbira tad-dijanjosi.

Ċertifikat ta' fiduċja jipprova l-punt tat-tmiem; ma jgħid xejn dwar il-kont.

X'jistabbilixxi l-ħsieb tal-idejn TLS

Il-klijent jivvalida ċ-ċertifikat ippreżentat mis-server kontra l-maħżen tal-fiduċja tiegħu, l-isem tal-host mitlub, it-tieqa tal-validità u kwalunkwe politika addizzjonali li tapplika l-pjattaforma. Dan jipproteġi l-konnessjoni mal-punt tat-tmiem intenzjonat. Ma jippruvax li kont partikolari huwa attivat, mhux skadut jew awtorizzat għall-aċċess mill-bogħod. Dawk huma mistoqsijiet separati li jsiru aktar tard minn komponent ieħor.

Għalhekk it-tneħħija tal-kontrolli taċ-ċertifikat biex tasal għall-mistoqsija tad-dħul hija t-tiswija żbaljata. Ikollok mistoqsija tad-dħul fuq konnessjoni li ma tistax tivverifika. Żball taċ-ċertifikat jappartjeni għall-isem tal-host, l-arloġġ, il-katina jew il-konfigurazzjoni tal-fiduċja.

X'jżidu SSTP u PPP fuq kollox

SSTP jaħdem fuq HTTPS u jġorr PPP ġewwa fih, bil-bdil tal-kontroll tiegħu stess madwar il-konnessjoni. Imbagħad PPP iwettaq il-fażijiet tal-konnessjoni u l-awtentikazzjoni tiegħu, u l-metodu tal-awtentikazzjoni jiddependi mill-politika tas-server u l-kapaċità tal-klijent. PAP, CHAP, MS-CHAPv2 u EAP huma kollha għażliet tal-awtentikazzjoni PPP bi proprjetajiet differenti ħafna. Il-verifika tal-utent tal-VPN hija dik il-fażi PPP, mhux is-saff TLS taħtha.

Għalhekk rifjut tal-utent jista' jfisser kredenzjali, restrizzjoni tal-kont jew nuqqas ta' qbil fil-metodu.

Ir-raġuni fuq in-naħa tas-server hija ħafna aktar utli milli terġa' tissettja kull sigriet fil-profil. Avveniment ta' kont diżattivat u falliment ta' negozjati tal-metodu jidhru simili fil-klijent u m'għandhom xejn komuni fis-server.

Qabbel l-iżball mal-fażi

Iċċekkja jekk il-konnessjoni tilħaqx TLS, imbagħad il-bdil HTTP SSTP, imbagħad il-fażi PPP. Żomm it-timbri tal-ħin tal-logs allinjati bejn tentattivi sabiex falliment preċedenti ma jiġix konfuż ma' suċċess sussegwenti. Klijent li jirreġistra żewġ tentattivi f'tieqa waħda xort'oħra jidher li falla fl-aħħar fażi li wasal għaliha. Aqra l-ewwel żball rilevanti, mhux l-aħħar linja.

L-istess allinjament huwa importanti fuq in-naħa tas-server, fejn ir-rekord tal-awtentikazzjoni u l-log tat-trasport spiss ikunu fajls separati b'arloġġi separati. Żewġ minuti ta' żball biżżejjed biex kawża ovvja tidher impossibbli.

Wara d-dħul, l-awtorizzazzjoni għadha separata

Dħul b'suċċess ma jagħtix kull riżorsa privata. Ir-rotot jiddeterminaw x'inhu aċċessibbli, id-DNS jiddetermina x'inhu solvut, u kull servizz għadu japplika l-permessi tiegħu stess. Sessjoni li tidher konnessa hija dikjarazzjoni dwar il-mina, mhux dwar il-qsim tal-fajls. Meta utent jista' jikkonnettja u ma jistax jasal għal host wieħed, il-fażi tal-mina diġà ntemmet.

Hija l-istess stratifikazzjoni li wera l-ħsieb tal-idejn, livell wieħed ogħla.

Żomm l-irkupru tal-kont fil-proċess appoġġat mill-operatur minflok ma tbiddel is-settings tat-trasport b'reazzjoni għal ċaħda espliċita tal-utent. Li tbiddel it-trasport biex tissewwa kont diżattivat huwa t-tip ta' tiswija li tidher li taħdem meta l-kont jerġa' jiġi attivat għal raġuni mhux relatata.